Gestão de risco aplicada à uma fábrica à luz do ISO9001:2015.

Alessandro Mazzeranghi 

 Atualmente, alguns fatos importantes nos “obrigam” a voltar a este assunto com ênfase ainda mais forte. Eu os listarei em ordem cronológica:

• A queda na demanda e no preço das commodities gerou uma crise para os empreendedores envolvidos nesse campo - principalmente óleo de xisto - com bases financeiras insuficientemente sólidas que confiaram no crescimento contínuo de mercado. As empresas maiores e mais fortes passarão por difíceis processos de reestruturação; as menores, mais vulneráveis aos bancos, em sua maioria enfrentarão falência. 

• Opostamente, o escândalo com a VW destaca como um problema de governança (independentemente da culpa individual, é óbvio que a governança aqui falhou totalmente) pode prejudicar a credibilidade de uma empresa muito grande, fazendo com que ela perca seu valor mesmo antes que todas as consequências fiquem visivelmente claras.

• Em sua suposta pequena linha de ação, a nova ISO 9001 edição 2015 destaca a gestão de risco e de oportunidades, claramente implicando, acima de tudo, os riscos e oportunidades que podem mudar radicalmente o futuro de uma empresa. Pessoalmente, aprendi um termo que julgo representar um dos meus clientes: ameaça (à continuidade dos negócios). Ela dá a ideia de um risco tão grande relativo à questão da sobrevivência de uma fábrica, uma marca ou toda uma empresa ou corporação.

SE QUISER CONTINUAR EXISTINDO, UMA ESTRUTURA INDUSTRIAL AUTOGOVERNANTE deve conhecer e controlar as ameaças às quais está exposta. Conhecer e controlar! 

Permita-me apresentar um exemplo: uma empresa de prestígio é exposta à inundação do rio que corre perto de suas instalações. Ela possui seguro contra isso (em relação aos danos em potencial) e, em seus contratos, há uma cláusula afirmando que não se pode aplicar multas por atraso na entrega causado por desastres naturais. Mas duas enchentes com um ano de diferença fazem a empresa acumular um atraso de um ano em seu pedido mais importante, e isso acarreta tamanha perda de credibilidade no mercado e tamanhas dificuldades organizacionais na gestão do programa que a empresa arrisca fechar, salva somente por um aumento no capital. O que podemos aprender com isso? O risco de enchente era conhecido, medidas de controle “padrão” foram tomadas, mas a ameaça geral saiu do controle. Talvez ele tenha sido subestimado?

GESTÃO DE RISCO: O PAPEL DA AVALIAÇÃO DE RISCO.

Se uma ameaça é conhecida, então deduzimos que a gestão corporativa está tentando lidar com ela, que tomará algum tipo de ação. Mas, se não for conhecida, fica claro que a gestão não fará nada em termos de prevenção. Um conceito tão óbvio nem deveria precisar ser expressado, se não fosse pelo fato de que, muitas vezes, não conhecer as ameaças é a raiz das maiores falhas na governança corporativa. Se, por exemplo, considerarmos as diretivas europeias sobre a responsabilidade administrativa de pessoas jurídicas e de agências/órgãos livres de pessoa jurídica que tendem a ampliar continuamente as violações às quais podem ser aplicadas, notamos que as consequentes ameaças às empresas nem sempre são bem conhecidas ou corretamente avaliadas. E isso nos surpreende porque estamos falando de leis específicas (que visam explicitamente regular a gestão de negócios e são referidas em detalhes em textos relacionados), e, assim, são “bem conhecidas” e “facilmente interpretáveis”.

IMAGINE O QUÃO MAIS FUGIDIAS PODEM SER OUTRAS AMEAÇAS que não derivam de tais regras bem abordadas (e portanto “reconhecíveis”) - até mesmo legais. E então existem riscos que não derivam de leis escritas, mas da sensibilidade da clientela, ou de riscos que aparentemente são de encargo somente da clientela. Vamos pegar um exemplo “industrial”, embora de outro campo, de uma empresa que fabrica um produto semi-acabado seguindo especificações do cliente destinado para uma refinaria de petróleo e indispensável para inicializar a planta. Que danos poderiam ser causados se, devido a problemas no sistema de produção, a entrega for adiada por 5 meses, causando atraso de um mês na inicialização da refinaria? Está claro que, no nosso campo, tais situações catastróficas não existem, mas é claro que esvaziar as prateleiras de supermercados franceses de determinada marca de papel higiênico premium pode se transformar em um dano substancial ou, se preferir, um presente que a concorrência irá agradecer... Fatos óbvios, uma vez que eles são citados. Mas devemos nos perguntar: realmente conhecemos todos os riscos aos quais nossa empresa está exposta?

BASICAMENTE, ESTAMOS TENTANDO DESTACAR QUE, NA GESTÃO DE RISCOS, O PONTO FUNDAMENTAL (que não podemos nos dar ao luxo de errar) é a gestão de riscos, ou seja, identificar riscos e sua estimativa e avaliação. Isso é um aspecto importante e, em certo sentido, inovador, se comparado ao sistema de gestão empresarial normal das empresas. E é confortante saber que a ISO 9001:2015 coloca uma ênfase importante sobre este assunto. Certamente, sem afirmar isso explicitamente conforme faremos nas linhas a seguir, ela destaca outro conceito básico: 

• se devemos primeiro realizar uma avaliação de riscos para entender, de maneira ordenada e sistemática (e também completa, espera-se), quais são os riscos aos quais uma empresa está exposta por ser uma estrutura unitária e monolítica? • imediatamente em seguida, é fundamental compreender quais são os processos industriais dentro dos quais podem ser cometidos “erros” que gerariam tais riscos.

A ANÁLISE DE PROCESSO SOB O PERFIL DE RISCO É, PORTANTO, DE SUMA IMPORTÂNCIA e, na realidade, uma prática bastante rara. Ela deve ser instituída, principalmente nos contextos onde são muitos os riscos reconhecidos como prováveis para a empresa. Vamos pegar um exemplo no nosso próprio campo, considerando o tópico (processo) clássico de manutenção. Dentro dele, estão integradas “passagens” críticas à saúde e segurança ocupacional, outras que são fundamentais para a proteção do meio ambiente, e ainda outras necessárias para a proteção dos ativos estratégicos e mercadorias corporativas, e ainda outras fortemente relacionadas à qualidade de produto e compliance. Talvez tal exemplo não esteja entre os mais complexos de sua natureza (o processo de compras de bens e serviços certamente é até mais complicado), mas acreditamos que pode dar a ideia de como a avaliação de riscos de um processo multidisciplinar não é algo que possa ser feito utilizando o mero “senso comum”, mas que exige uma abordagem sistemática e analítica. Uma vez que isso for feito, como dizíamos, não será tão difícil introduzir então as modalidades e controles de gestão de processo necessários para manter possíveis riscos sob controle. Naturalmente, em seguida vem o momento de aplicação das leis estabelecidas, tópico que não trataremos aqui devido a sua extrema complexidade.

O FLUXO A SEGUIR. Se reconhecermos que os riscos aos quais as empresas atualmente estão expostas são infinitamente mais urgentes do que aqueles que elas precisavam enfrentar apenas 30 anos atrás, obrigatoriamente nos vemos concluindo que governar uma empresa sem controlar os riscos é perigoso, para dizer o mínimo. Vamos tentar resumir os “passos” a seguir, então:

• Realizar uma avaliação dos riscos aos quais uma empresa pode estar exposta, começando por aqueles ligados a violações legais cujas penas poderiam prejudicar ou destruir a continuidade do negócio, para em seguida passar aos riscos ligados a possível perda de credibilidade no mercado, possível perda de know-how, etc.;

• Com base no resultado dos procedimentos de avaliação de riscos, identificar um número limitado de riscos críticos que merecem prioridade em termos de prevenção e proteção (não mais do que cinco, segundo a renomada tabela Pareto); é melhor não se estender nos riscos considerados exagero, do contrário, existe a possibilidade concreta de criar estruturas organizacionais complexas demais e que podem se concretizar, paralisando as superestruturas;

• Para os riscos selecionados, investigar o processo corporativo dentro do qual esses riscos podem ser gerados; basicamente, os resultados desta análise formam uma lista de processos corporativos essenciais e, para cada um deles, os possíveis riscos associados serão indicados;

• Para os processos essenciais, definir procedimentos para identificar as medidas de gestão de riscos, pontos de controle e pessoas (fundamentais) “existentes” responsáveis pelas diferentes medidas. Recomendamos sinceramente que se defina claramente quem deve fazer o que e quando; o “como” pode ser “delegado” às competências e habilidades das diferentes pessoas, ou claramente definido (com base nas características dos recursos humanos disponíveis, mas também com base no grau de autonomia a ser atribuído aos indivíduos).

ANTES DO RACIOCÍNIO SOBRE PROCEDIMENTOS E PROCESSOS, recomendamos sempre mapear e definir precisamente a organização corporativa por meio de uma descrição do cargo, uma atividade necessária que, de certo modo, esteja acima da definição de processos e pretenda definir quais recursos para prevenção de riscos são empregados pela empresa.

PEQUENA CONCLUSÃO. Gostaríamos somente de reiterar um conceito: atualmente, uma gestão corporativa correta não pode ignorar o aspecto do controle de riscos (para a empresa) que ganham cada vez mais importância e que se tornaram um dos elementos inevitáveis de uma correta governança corporativa orientada para a manutenção/elevação do valor da empresa com o tempo. Hoje, a ideia de que “não somos azarados a ponto de algo assim acontecer conosco” perdeu toda a credibilidade prática! Sendo assim, devemos compreender e então agir. *